Odebrany

CVE-2026-90059

opublikowano: 17.09.2026, 19:16

modyfikacja: 17.09.2026, 19:16

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

net: stmmac: przywróć NET_IP_ALIGN w przesunięciu RX DMA

Ponieważ ścieżka RX została przekonwertowana na kopię zerową, przekazywana jest strona puli stron
do stosu bezpośrednio jako głowica skb i przesunięcie zapisywane przez silnik DMA
at określa wyrównanie nagłówków pakietów.

Przed konwersją ładunek został skopiowany do uzyskanego skb
napi_alloc_skb(), która rezerwuje NET_SKB_PAD + NET_IP_ALIGN. The
konwersja przeniosła zapas do stmmac_rx_offset(), ale nie została przeniesiona
przez NET_IP_ALIGN, więc na architekturach, gdzie NET_IP_ALIGN to 2 adres IP
nagłówek jest teraz źle wyrównany:

64 (NET_SKB_PAD) + 14 (Ethernet) + 20 (IP) = 98

To samo dla oddziału XDP:

256 (XDP_PACKET_HEADROOM) + 14 (Ethernet) + 20 (IP) = 290

Na ARM32 jest to fatalne, ponieważ ldm i ldrd zatrzymują się na niewyrównanych adresach
nawet jeśli ustawiono CONFIG_HAVE_EFFICIENT_UNALIGNED_ACCESS.

Każde otrzymane żądanie echa wywołuje panikę w maszynie, np.:

Nieobsługiwany błąd: wyjątek wyrównania (0x001) pod adresem 0x81873062
Błąd wewnętrzny: : 1 [#1] SMP ARM
Nazwa sprzętu: Altera SOCFPGA Arria10
Komputer znajduje się pod adresem icmp_echo+0x38/0xa8
LR znajduje się w icmp_rcv+0x22c/0x370
Śledzenie połączeń:
icmp_echo z icmp_rcv+0x22c/0x370
icmp_rcv z ip_protocol_deliver_rcu+0x2c/0x224
ip_protocol_deliver_rcu z ip_local_deliver+0xc8/0x1a0
ip_local_deliver z ip_sublist_rcv_finish+0x3c/0x50
ip_sublist_rcv_finish z ip_list_rcv_finish+0x110/0x118
ip_list_rcv_finish z ip_list_rcv+0xc8/0xdc
ip_list_rcv z __netif_receive_skb_list_core+0x170/0x1c0
...
napi_complete_done z stmmac_napi_poll_rx+0xcb0/0x1030
Kod: e24dd068 e59020a0 e28dc010 e0822001 (e8920003)
Panika jądra – brak synchronizacji: krytyczny wyjątek w przerwaniu

Instrukcja powodująca błąd to ldm *icmp_hdr(skb) w icmp_echo().

Napraw, dodając z powrotem NET_IP_ALIGN do przesunięcia RX, co przywraca
wyrównanie stosu używanego do uzyskania.

Zauważ, że zatwierdzenie a955318fe67e („stmmac: wyrównanie buforów RX”) spowodowało podobny efekt
zmiana w 2021 r. i została cofnięta przez zatwierdzenie 12d125b4574b („stmmac: Revert
„stmmac: wyrównaj bufory RX””), ponieważ spowodowało to uszkodzenie pakietu. To
patch podniósł przesunięcie z 0 bez zmiany rozmiaru bufora
rachunkowości, więc silnik DMA mógłby prawdopodobnie pisać poza końcem RX
bufory, chociaż nigdy nie było to spowodowane rootem.
Zatwierdź df542f669307 („net: stmmac: Przełącz na kopię zerową w RX innym niż XDP
path”), ponieważ wyznacza alokację puli stron z stmmac_rx_offset(), więc
dodatkowe bajty są uwzględniane.

In the Linux kernel, the following vulnerability has been resolved:

net: stmmac: restore NET_IP_ALIGN in the RX DMA offset

Since the RX path was converted to zero-copy, the page pool page is handed
to the stack directly as the skb head, and the offset the DMA engine writes
at is what determines the alignment of the packet headers.

Before the conversion the payload was copied into an skb obtained from
napi_alloc_skb(), which reserves NET_SKB_PAD + NET_IP_ALIGN. The
conversion moved the headroom into stmmac_rx_offset() but did not carry
over NET_IP_ALIGN, so on architectures where NET_IP_ALIGN is 2 the IP
header now lands misaligned:

64 (NET_SKB_PAD) + 14 (ethernet) + 20 (IP) = 98

Same for the XDP branch:

256 (XDP_PACKET_HEADROOM) + 14 (ethernet) + 20 (IP) = 290

On ARM32 this is fatal, because ldm and ldrd trap on unaligned addresses
even when CONFIG_HAVE_EFFICIENT_UNALIGNED_ACCESS is set.

Any received echo request panics the machine, e.g:

Unhandled fault: alignment exception (0x001) at 0x81873062
Internal error: : 1 [#1] SMP ARM
Hardware name: Altera SOCFPGA Arria10
PC is at icmp_echo+0x38/0xa8
LR is at icmp_rcv+0x22c/0x370
Call trace:
icmp_echo from icmp_rcv+0x22c/0x370
icmp_rcv from ip_protocol_deliver_rcu+0x2c/0x224
ip_protocol_deliver_rcu from ip_local_deliver+0xc8/0x1a0
ip_local_deliver from ip_sublist_rcv_finish+0x3c/0x50
ip_sublist_rcv_finish from ip_list_rcv_finish+0x110/0x118
ip_list_rcv_finish from ip_list_rcv+0xc8/0xdc
ip_list_rcv from __netif_receive_skb_list_core+0x170/0x1c0
...
napi_complete_done from stmmac_napi_poll_rx+0xcb0/0x1030
Code: e24dd068 e59020a0 e28dc010 e0822001 (e8920003)
Kernel panic - not syncing: Fatal exception in interrupt

The faulting instruction is the ldm of *icmp_hdr(skb) in icmp_echo().

Fix by adding NET_IP_ALIGN back to the RX offset, which restores the
alignment the stack used to get.

Note that commit a955318fe67e ("stmmac: align RX buffers") made a similar
change in 2021 and was reverted by commit 12d125b4574b ("stmmac: Revert
"stmmac: align RX buffers"") because it caused packet corruption. That
patch raised the offset from 0 without adjusting the buffer size
accounting, so the DMA engine could arguably write past the end of the RX
buffers, though this was never root caused.
Commit df542f669307 ("net: stmmac: Switch to zero-copy in non-XDP RX
path") since derives the page pool allocation from stmmac_rx_offset(), so
the extra bytes are accounted for.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve